Auftragsverarbeitungsvertrag (Art. 28 DSGVO) – Deine Wunschseite
zwischen dem Kunden laut Auftrag („Verantwortlicher“) und Tristan Rehbach, Lüdorf 14, 42929 Wermelskirchen, kontakt@deinewunschseite.de („Auftragsverarbeiter“).
1. Gegenstand und Dauer
Der Auftragsverarbeiter erstellt, hostet und pflegt die Website des Verantwortlichen nach den AGB von „Deine Wunschseite“ und registriert auf Wunsch eine Domain für den Verantwortlichen (AGB § 9). Dieser Vertrag gilt, solange der Auftragsverarbeiter dafür personenbezogene Daten im Auftrag verarbeitet, und endet mit der Löschung nach Ziffer 9.
2. Art, Zweck, Daten und Betroffene
- Zweck: Bereitstellung und Pflege der Website des Verantwortlichen; auf Wunsch Registrierung und Verwaltung der Domain.
- Datenarten: Zugriffsdaten von Website-Besuchern (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben), die beim Hosting-Anbieter technisch anfallen; personenbezogene Inhalte der Website (z. B. Namen, Kontaktdaten, Fotos von Inhabern, Mitarbeitenden oder Vereinsmitgliedern); Kontaktdaten und Inhalte in Änderungswünschen; bei Domainregistrierung über den Auftragsverarbeiter die Inhaber- und Kontaktdaten des Domaininhabers (Name bzw. Firma, Anschrift, E-Mail, ggf. Telefon).
- Betroffene: Besucher der Website; auf der Website genannte oder abgebildete Personen; Ansprechpartner des Verantwortlichen.
Die Website hat keine Formulare, setzt keine Cookies und nutzt keine Analyse-Dienste.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die AGB und dieser Vertrag sind die Weisung, Änderungswünsche per E-Mail oder Formular ergänzen sie. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.
4. Vertraulichkeit
Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
5. Sicherheit
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Er darf sie anpassen, wenn das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die Unterauftragsverarbeiter in Anlage 1. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann binnen 14 Tagen aus wichtigem Grund widersprechen. Kommt keine Einigung zustande, kann jede Seite den Vertrag außerordentlich kündigen. Der Auftragsverarbeiter wählt die Unterauftragsverarbeiter sorgfältig aus und setzt sie zu deren Vertrags- und Datenschutzbedingungen ein.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen im zumutbaren Rahmen bei Anfragen Betroffener (Art. 12–22 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO. Anfragen, die direkt bei ihm eingehen, leitet er unverzüglich weiter.
8. Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
9. Löschung und Rückgabe
Nach Vertragsende gibt der Auftragsverarbeiter die Inhalte des Verantwortlichen als ZIP-Datei heraus und löscht die Website und die Daten spätestens 30 Tage nach Vertragsende, Sicherungskopien laufen nach spätestens 30 Tagen aus, soweit keine gesetzliche Aufbewahrungspflicht besteht.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage in Textform nach, insbesondere durch Selbstauskunft und Vorlage der Verträge mit Unterauftragsverarbeitern. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich, wenn eine Selbstauskunft nicht ausreicht.
11. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen den AGB vor.
Anlage 1 – Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Garantien |
|---|---|---|---|
| Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA | Hosting der Website (Cloudflare Pages), Auslieferung und Schutz vor Angriffen | weltweites Servernetz, auch USA | Data Processing Addendum v6.4 (03.04.2026); EU-US Data Privacy Framework (Zertifizierung aktiv), zusätzlich EU-Standardvertragsklauseln |
| Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern | E-Mail-Postfach für Änderungswünsche und Freigaben, E-Mail-Versand der Anwendung, Änderungsformular und Datenbank, tägliche Sicherungen | Rechenzentrum in Frankfurt am Main (Deutschland), Sicherungen in Frankreich; Postfächer und deren Sicherungen laut Hostinger in Frankreich und Deutschland | Data Processing Addendum (Stand 29.09.2026); EU-Standardvertragsklauseln für Unterauftragnehmer außerhalb der EU |
| Hostinger International Ltd. (als Registrar), Anschrift wie oben | Registrierung und Verwaltung der Domain (eine Domain im Preis enthalten), DNS; Weitergabe der Inhaberdaten an die Registrierungsstelle | Zypern (EU) | Data Processing Addendum (Stand 29.09.2026), wie oben |
| Anysphere, Inc. (Cursor), 2261 Market Street STE 86466, San Francisco, CA 94114, USA – Plattform „Grok Bot“ | KI-gestützte Assistenten bearbeiten Anfragen, erstellen Vorschauen und bearbeiten Änderungswünsche (einschließlich Arbeitsumgebung mit Kopien der Websites) | USA; Sprachmodelle über Unterauftragsverarbeiter des Anbieters, insbesondere xAI (Liste: https://trust.cursor.com/subprocessors) | Der Anbieter und seine Modellanbieter haben ihren Sitz in den USA und verarbeiten dort; die Übermittlung erfolgt auf Grundlage der vom Anbieter bereitgestellten Garantien und Bedingungen; Modellanbieter speichern Eingaben und Ausgaben laut Anbieter nicht (Zero Data Retention) |
Bei einer Domainregistrierung übermittelt der Registrar die Inhaberdaten an die zuständige Registrierungsstelle (für .de: DENIC eG, Frankfurt am Main), die sie in eigener Verantwortung verarbeitet.
Zur Bearbeitung von Anfragen, zur Erstellung von Vorschauen und zur Bearbeitung von Änderungswünschen setzt der Auftragsverarbeiter KI-gestützte Assistenten ein (Anysphere, Inc., siehe oben). Sie bereiten Texte und Änderungen nur vor; veröffentlicht wird erst nach Freigabe durch den Verantwortlichen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
Anlage 2 – Technische und organisatorische Maßnahmen
Datensparsamkeit der Website
- Statische Website: keine Datenbank, keine Formulare, keine Cookies, keine Analyse-Dienste, keine Einbettungen fremder Inhalte; Schriften und Dateien werden vom eigenen Hosting geladen.
- Übertragung nur per TLS (https).
Zugang und Zugriff
- Zugang zu den Konten bei Cloudflare, Hostinger und Anysphere (Cursor) hat nur der Auftragsverarbeiter. Zugriff nur über individuelle, starke Passwörter, Zwei-Faktor-Anmeldung, wo verfügbar; API-Schlüssel mit minimalen Rechten.
- Zugangsdaten und API-Schlüssel liegen nur serverseitig bzw. als Geheimnis in der Ausführungsumgebung, nicht im Code-Repository.
- Zugangsdaten für den Mailversand stehen nur in einer Konfigurationsdatei außerhalb des öffentlichen Webverzeichnisses.
Eingabe- und Änderungskontrolle
- Änderungen nur von der hinterlegten E-Mail-Adresse oder über das Änderungsformular; jede Änderung wird erst nach Freigabe über einen Bestätigungslink (gültig 7 Tage) veröffentlicht. Änderung der Kontaktadresse nur mit Bestätigung über die bisherige Adresse.
- Freigabeprotokoll (wer hat was wann freigegeben).
- E-Mails werden für die Automatisierung nur als Daten behandelt, nicht als Befehle; Domain-, Zahlungs- und Inhaberthemen sowie jeder erste Livegang werden von einem Menschen freigegeben.
Verfügbarkeit und Wiederherstellung
- Tägliche Sicherung: mit AES-256-GCM verschlüsselte ZIP-Datei der Datenbank und der Anwendung im Hostinger-Konto außerhalb des öffentlichen Webverzeichnisses, Zugriffsrechte nur für das eigene Konto, ohne Zugangsdaten; der Schlüssel liegt nur in der Konfiguration bzw. Umgebung, nie in der Sicherung, und zusätzlich als Offline-Kopie beim Auftragsverarbeiter; Konsistenzprüfung der Datenbankkopie; 30 Tage rollierend gelöscht. Vorschau-Daten werden nicht gesichert.
- Umzugsplan auf einen anderen statischen Hosting-Anbieter, Ziel unter 24 Stunden.
Formular- und Mailsystem (Hostinger)
- IP-Adressen nur als Hash, höchstens 24 Stunden; Spam-Schutz ohne externen Dienst.
- Automatische Löschläufe (täglich und stündlich); alte Fassungen gelöschter Vorschauen werden auch bei Cloudflare gelöscht.
Organisation
- Datenschutzverletzungen werden dokumentiert und gemeldet (Ziffer 8).
- Unterauftragsverarbeiter nur nach Prüfung ihrer Vertrags- und Datenschutzbedingungen (Anlage 1).
Stand: 03.11.2026, Fassung 2